データガバナンス
顧客情報や利用ログ、昨今では「AI ツールへの入出力データ」も含め、組織のデータを誰がどう管理・利用するかのルール体系のことです。個人情報保護法やGDPR(欧州のデータ保護規則)、SOC 2(セキュリティの国際基準)などの法規制対応も含む、全社的なデータ管理戦略を指します。
運用の勘所：「完璧」を目指さず、まずはこの 3 つから
特に AI 時代においては「AI ツールに社外秘のデータを入力させない」といった統制が急務です。しかし、最初から完璧な体制を目指すと挫折するため、中小企業は以下の「軽量版 3 点セット」から始めるだけでも大きな効果があります。
- 機密度判定：どこまでのデータなら AI に入力してよいかの基準作り。
- AI 利用ガイドラインの策定
- 退職時のアカウント剥奪フローの徹底
実務での基本となる「4 つの領域」
本格的に運用する際は、以下の 4 領域を設計し、経営層への定例報告や漏洩時の事業継続計画(BCP)とセットで運用します。
- 承認フロー：新しい SaaS や AI ツールを導入する際や、機密情報を扱う際の事前承認ルート。
- ログ管理：誰が・いつ・何を入力し共有したかの記録(退職後のログ保持含む)。
- 再現性：過去の判断根拠や、AI がその結果を出力した際のプロンプト(指示内容)などを後から追跡できる仕組み。
- 監査可能性：内部監査や外部からのチェックが入った際に、いつでも証拠を出せる状態にしておくこと。
よくある落とし穴(注意点)
- 担当者の孤立：AI 活用やデータ管理の担当者が一人で全責任を抱え込んでしまう。
- 教育不足による事故：社員教育を怠り、「知らずに社外秘の顧客リストを AI に読み込ませてしまった」等の事故が起きる。
- 規約や法規制の見落とし：AI ツールの利用規約のサイレント変更に気づかない、海外展開時に CCPA(カリフォルニア州のプライバシー法)などの海外規制を見落とす。
言葉をよく利用する人
- 情シス
- 法務 / 契約担当
- AI 活用担当 / プロンプトエンジニア
- Web 担当者(発注側)
- 経営層
会話上での使用例
AI 利用のルールを社内で整備しはじめる場面
-
経営層
生成 AI の使い方について、社内のガイドラインを作りたいんだけど。
-
Web 担当者
ではデータガバナンスの入り口として、まず三点セットから始めましょう。情報の機密度を三段階で判定する基準、AI を使うときのルール、それと退職時にアカウントを止める手順です。半年ほど運用してみて、承認とログと再現性と監査の四つに広げていく形が現実的だと思います。
社員が個人の AI に顧客情報を入力していたと発覚した場面
-
情シス
社員が個人の ChatGPT に顧客リストを貼っていたことが分かりました。
-
Web 担当者
データガバナンスの事故対応の手順で動きましょう。まず影響範囲を特定して、お客様への報告が要るか、個人情報保護委員会への通知が要るかを順に判断します。経緯は社内の記録に残して、全社研修も追加で組みます。事業継続の手順も合わせて見直しておきますね。